За последние 24 часа нас посетил 71931 программист и 5952 робота. Сейчас ищет 1361 программист ...

Шифрование токена

Тема в разделе "PHP для новичков", создана пользователем Неугомонный, 4 сен 2023.

  1. Неугомонный

    Неугомонный Активный пользователь

    С нами с:
    10 фев 2018
    Сообщения:
    192
    Симпатии:
    3
    Мне говорят что вот так использовать нельзя, нужно всё пихать в password_hash не думая
    Какая разница? Токен же не вечный всего 30 дней существует в базе и потом уделяется.
    И как мне известно всякие гуглдекодеры по базе готовой хэшей расшифровку делают , в токене же не будет QWERTY а 32 рандомных символа 0-9a-f

    PHP:
    1. $token = bin2hex(random_bytes(16));
    2. $token_hash = hash('sha1', $token);
    3.  
    4. if(!hash_equals(hash('sha1', $token), $token_hash))
    5.     unset($user);
    Даже этот движок если я не ошибаюсь xenforo что использует форум пароли шифрует sha1(sha1($pswd).$salt) в моем случае соль то и не нужна, токен и так рандомный :eek:

    Крч, объясните почему так нельзя..
    P.s одинаковые хэши часто будут и т.д и т.п а в password_hash не будут хэши одинаковые попадаться , так же будут да и куда длина у них больше а это памяти больше занимать будет
     
    #1 Неугомонный, 4 сен 2023
    Последнее редактирование: 4 сен 2023
  2. ADSoft

    ADSoft Старожил

    С нами с:
    12 мар 2007
    Сообщения:
    3.874
    Симпатии:
    753
    Адрес:
    Татарстан
    если ломанут и получат доступ к БД - то вот они все токены без усилий
    а хеш подбирать занятие довольно трудоемкое...

    опять же чего вам это стоит? да ничего ... пару строчек кода... почему бы не сделать?
     
  3. Неугомонный

    Неугомонный Активный пользователь

    С нами с:
    10 фев 2018
    Сообщения:
    192
    Симпатии:
    3
    Тут я тоже подумал, что password_hash имеет больше буквенный запас a-zA-Z0-9 , соль 22 символа .
    А токен стоит переписывать на пользовательскую функцию от a-z 0-9 A-Z ?